将 API Keys 和 .env 文件提交到私有企业存储库是否可以接受？

Question

我进行了搜索，令人惊讶的是没有找到答案。现在，我们不会将 API Keys/.env文件提交到一个不断增长的 4 人团队正在开发的存储库中。每当我们更改某些内容时，例如数据库密码，我们都会通过 Slack 将其发送给彼此。

考虑到我们的 repo 是私有的，不可分叉，并且只有员工可以访问，这似乎毫无意义。

我能看到这种情况出错的唯一方法是：

1. 员工不小心公开发布了回购协议。尽管这无论如何都会是一场灾难，因为我们的整个代码库都是公开的，所以我看不出更改密钥和密码将如何成为我们最关心的问题。
2. 员工帐户被盗。见上文^（我们也强制执行 MFA 作为一种安慰）。
3. GitHub 本身遭到破坏，这又是我们（以及大多数软件公司）面临的更大问题。
4. 在此处插入模糊的微软阴谋

我们是否有理由继续这种做法，或者我们可以提交我们的.env文件吗？

Answer 1

我们现在使用ENVKEY来解决这个问题。